Instagram y la custodia del perfil: cinco llaves que separan al usuario de un hackeo

Delia Hughes | La plataforma Instagram, propiedad de la firma Meta, dispone de un menú de seguridad que, según la documentación oficial de la empresa, debe combinarse porque ninguna herramienta por sí sola blinda por completo una cuenta. Una contraseña que haya quedado expuesta en una filtración masiva pierde todo valor si el segundo factor de autenticación está activo, recordó la compañía en su centro de ayuda. La advertencia apunta a un problema estructural: muchos usuarios siguen confiando solo en claves alfanuméricas que, tarde o temprano, terminan en alguna base de datos vulnerada.

La verificación en dos pasos, el primer muro

El primer escalón del esquema defensivo es la autenticación en dos pasos. Una vez activada, cada intento de inicio de sesión desde un dispositivo no reconocido dispara un código adicional, de modo que conocer la contraseña ya no resulta suficiente para entrar al perfil. El menú se encuentra dentro de Configuración, en el apartado Cuenta de Meta, bajo el rótulo Inicio de sesión y seguridad.

• Aplicación de autenticación: es la alternativa más recomendada. Servicios como Duo Mobile o Google Authenticator generan códigos temporales y permiten asociar varios dispositivos a un mismo perfil. Funciona únicamente en las versiones de Instagram para Android e iPhone.
• SMS o WhatsApp: el código llega al número de teléfono registrado. Es la opción más extendida por su sencillez, aunque depende de la cobertura de la línea y de la seguridad de la operadora.
• Códigos de respaldo: se generan de antemano y resultan útiles cuando el usuario pierde acceso al teléfono o al correo y no puede recibir el código habitual. Funcionan como una llave de emergencia.

La propia plataforma aclara que habilitar al menos uno de los dos primeros métodos es obligatorio para activar la verificación en dos pasos. La decisión no es trivial: la opción por SMS queda expuesta a los ataques de intercambio de SIM, una modalidad mediante la cual terceros logran que la operadora duplique el chip y desvíen los códigos a otro equipo.

Dispositivos de confianza y alertas de acceso

Una vez configurado el segundo factor, el sistema permite etiquetar equipos como dispositivos de confianza. En esas terminales, Instagram deja de pedir el código en los ingresos posteriores. La sugerencia oficial es no aplicar esa etiqueta en computadoras públicas o compartidas, dado que la protección adicional quedaría anulada en un equipo al que también accede un tercero.

Cada vez que alguien intenta ingresar a la cuenta desde un equipo o navegador desconocido, la plataforma envía una alerta con el tipo de dispositivo y la ubicación aproximada del intento. Desde cualquier sesión activa, el usuario puede aprobar o rechazar ese acceso de inmediato. Además, el historial de ingresos recientes queda disponible en Configuración, sección Actividad de inicio de sesión; cualquier movimiento —disculpe, cualquier movimiento no reconocido— puede cerrarse de forma individual y reportarse a la plataforma.

Comprobación rápida y mensajes que engañan

Para usuarios que sospechan de un compromiso, Instagram ofrece una comprobación de seguridad que guía paso a paso: revisar la actividad reciente, verificar los datos del perfil, confirmar qué cuentas comparten contraseñas y actualizar los teléfonos y correos de recuperación. La herramienta está pensada para perfiles que recibieron una alerta extraña o detectaron movimientos que no reconocen.

En los últimos meses, la compañía ha reforzado su comunicación contra los mensajes fraudulentos que simulan ser avisos oficiales de la plataforma. La regla es simple y conviene repetirla: Instagram nunca pedirá contraseñas, códigos de verificación ni datos bancarios por mensaje directo o correo. Cualquier comunicación con esas características debe tratarse como un intento de estafa y reportarse de inmediato desde la opción correspondiente. La ingeniería social sigue siendo, según los propios reportes de la empresa, el vector más eficaz para vaciar una cuenta.